Gdybym miał uruchomionego wirusa w moim systemie, czy byłbym w stanie zobaczyć proces w menedżerze zadań? Mam na myśli, czy działający wirus mógłby ominąć menedżera zadań, aby proces nie pojawił się na liście zadań Windows7?
Lub innymi słowy. Jeśli naprawdę teraz wszystkie procesy w menedżerze zadań są bezpieczne, to wiem też, że mój komputer jest czysty?
Odpowiedzi:
Nie zwykle nie. Menedżer zadań (i inne części systemu operacyjnego) może zostać narażony na szwank, ukrywając wirusa. Nazywa się to rootkitem.
Jeśli naprawdę teraz wszystkie procesy w menedżerze zadań są bezpieczne
Nigdy nie możesz wiedzieć, że wszystkie procesy w menedżerze zadań są bezpieczne. Wirusy używają nazw komponentów systemu z jakiegoś powodu, czasem nawet je przemieszczając.
Użyj antywirusa.
Program antywirusowy wykrywa tylko tyle i tyle („W czwartym kwartale 2011 r. 33% napotkanego złośliwego oprogramowania w sieci było złośliwym oprogramowaniem zero-day, którego nie można było wykryć za pomocą tradycyjnych metod opartych na sygnaturach w momencie spotkania”, źródło: http://blogs.cisco.com / security / cisco-4q11-global-threat-report / ).
Po odrobinie szkolenia możesz wykryć niektóre złośliwe oprogramowanie, ponieważ zachowują się w określony sposób, co jest nieco niezgodne z tym, co zwykle w systemie operacyjnym. Może to być większy ruch w sieci, większe użycie procesora, dziwny dostęp do dysku lub coś innego. Złośliwe oprogramowanie jest dostępne nie tylko jako pojedyncze pliki binarne, które można wykryć za pomocą menedżera zadań, ale także jako biblioteki dynamiczne (dll) dołączone do innych procesów.
Możesz uzyskać wskazówki na temat tego, co działa w twoim systemie za pomocą menedżera zadań, takiego jak Process Explorer, z Sysinternal Suite , i możesz obserwować, jak dzieje się w twoim systemie za pomocą czegoś takiego jak Monitor procesu tego samego pakietu. Przyzwyczaj się do narzędzi i uważaj na oznaki „dziwności”:
(„Dziwna” część to trening, którego potrzebujesz, aby odróżnić „to normalne” od „to dziwne”)
Autor Sysinternal Suite pokazuje kilka sprytnych sposobów korzystania z wyżej wymienionych narzędzi:
https://www.youtube.com/watch?v=7heEYEbFim4
Tak, możesz wykryć niektóre złośliwe oprogramowanie za pomocą porządnego menedżera zadań. Im mniej zaawansowane jest złośliwe oprogramowanie, tym łatwiej będzie je wykryć. Jeśli złośliwe oprogramowanie próbuje wykryć użycie menedżerów zadań, takich jak Process Explorer, być może konieczne będzie podjęcie zaawansowanych kroków, takich jak użycie innej „ sesji ” w celu wykrycia dziwnego zachowania, ale nadal jest to możliwe.
Nie jest możliwe wykrycie wirusa z menedżera zadań.
Istnieje kilka rodzajów wirusów. Wirus, trojan, rootkit, adware / puk itp. Niektóre wirusy ukrywają się przed menedżerem zadań, więc nie pojawia się w menedżerze zadań.
Sugeruję, abyś przestał szukać w menedżerze zadań i zainstalował program antywirusowy.
Jak mogę: uzyskać dostęp do Podglądu zdarzeń Windows®?
Wirusy są obecnie dość wyrafinowane. Oznacza to, że mogą ukryć się przed Menedżerem zadań, uruchomić wiele swoich kopii (na wypadek, gdyby jedna kopia została zdjęta) i wiele innych sztuczek. Z definicji wirusy również wstrzykują się do procesów systemowych, aby się ukryć.
Zasadniczo złośliwe oprogramowanie można zazwyczaj dość łatwo wykryć, identyfikując uruchomiony nietypowy proces. Ale szczególnie wirusy zwykle można rozpoznać tylko po ich ładunku wprowadzonym do procesu docelowego.
Tak więc antywirus jest naprawdę jedyną rzeczą, która może dokładnie wykryć ... cóż ... wirusa!
Z perspektywy programisty sugerowałbym, abyś spróbował nauczyć się programowania przy użyciu Windows API, a ponadto - haczyków API.
Jądro systemu operacyjnego przechowuje tabelę tych rodzimych funkcji API, które należy zidentyfikować i podłączyć . Twój haczyk przekieruje następnie i zmodyfikuje / przefiltruje dane wyjściowe. Ten fragment kodu musi działać na przestrzeni jądra, a żeby go kontrolować (tzn. Ładować / zatrzymywać), musisz mieć także oprogramowanie w przestrzeni użytkownika. Chociaż są one również możliwe w przestrzeni użytkownika, najprawdopodobniej zostaną oznaczone przez współczesne urządzenia AV jako rodzaj złośliwej aktywności.
Podejście byłoby zaczepić kawałek kodu do połączeń przechwytujący API (ieNtQueryDirectoryFile ()) tak, że można modyfikować / filtrować wyjście - rodzaj podejścia man-in-the-middle. Procesy działające w przestrzeni użytkownika (tj. Menedżer zadań, Eksplorator Windows, Eksplorator procesów) po prostu wyświetlą odfiltrowane dane wyjściowe dostarczone przez hak ... I NIE, listy ACL nie mają mocy na tej warstwie
Oczywiście współczesne AV mają również fragmenty kodu działające na przestrzeni jądra i / lub PATTERN MATCHING (pamiętasz, kiedy aktualizacje AV nazywają się AV Patterns Update?) - aby wykrywać i zapobiegać takim złośliwym hakom.